原文

jadxはDexからJavaへのデコンパイラです。バージョン1.5.6以前のjadx-guiには、SummaryタブにおいてHTMLインジェクションの脆弱性が存在します。これはSummaryNode.javaが、APK内の.soファイルパスの構成要素から派生したarchesおよびperArchCountの値をエスケープせずにHTMLパネルに追加しているためです。悪意のあるAPKは、HTML URLエンコードされたZIPエントリ名を使用して任意のHTMLを強制的にレンダリングしたり、アウトオブバンドリクエストを実行したり、被害者のIPアドレスを開示したり、ローカルで公開されているアプリケーションと相互作用したりする可能性があります。この問題はバージョン1.5.6で修正されています。